Справа № 712/4155/19
Провадження № 1-кс/712/2564/19
У Х В А Л А
І М Е Н Е М У К Р А Ї Н И
про призначення експертизи

27 березня 2019 року слідчий суддя Соснівського районного суду м. Черкаси ОСОБА_1 , при секретарі ОСОБА_2 , розглянув у відкритому судовому засіданні в залі суду м. Черкаси клопотання винесене в кримінальному провадженні № 0000497 від 31.01.2019 за ознаками кримінального правопорушення, передбаченого ч. 2 ст. 361 КК України слідчим СВ Черкаського відділу поліції Головного управління Національної поліції в Черкаській області старшим лейтенантом поліції ОСОБА_3 про призначення судової комп`ютерно-технічної експертизи,-

В С Т А Н О В И В:

До Соснівського районного суду м. Черкаси звернувся слідчий СВ Черкаського відділу поліції Головного управління Національної поліції в Черкаській області старший лейтенант поліції ОСОБА_3 з клопотанням про призначення судової комп`ютерно-технічної експертизи.

Клопотання мотивує тим, що до Черкаського відділу поліції Головного управління Національної поліції в Черкаській області надійшли матеріали по рапорту інспектора відділу протидії кіберзлочинам в Черкаській області ОСОБА_4 про те, що проведеними заходами виявлено групу осіб, що спеціалізуються на створені шкідливого програмного забезпечення, його розповсюдженням за грошові кошти, несанкціонованого втручання в роботу автоматизованих систем фінансових організацій.

За вказаним Черкаським відділом поліції Головного управління Національної поліції в Черкаській області, внесено відомості до Єдиного реєстру досудових розслідувань під № 0000497 від 31.01.2019, за ознаками кримінального правопорушення, передбаченого ч. 2 ст. 361 КК України.

Досудове розслідування здійснюється СВ Черкаського відділу поліції Головного управління Національної поліції в Черкаській області.

Проведеними заходами співробітниками Київського управління кіберполіції Департаменту кіберполіції Національної поліції України виявлено групу осіб, що спеціалізуються на створенні шкідливого програного забезпечення, його розповсюдженні за грошові кошти, несанкціонованих втручанням в роботу ЕОМ та автоматизованих систем фінансових організацій, у діях яких вбачаються ознаки кримінальних правопорушень, передбачених ч. 2 ст. 361, ч. 2 ст. 3611 КК України. Учасники вказаної групи у період часу з червня по серпень 2018 року на території м. Черкаси винаймали житло, де організували схему створення та збуту шкідливого програмного забезпечення. В даний період учасниками групи розроблено основні складові частини шкідливого програмного забезпечення завдяки співпраці з одним із колишніх співробітників банківської установи. Основними організаторам - ОСОБА_5 , ІНФОРМАЦІЯ_1 , зареєстрований за адресою: АДРЕСА_1 , іноді проживає за адресою: АДРЕСА_2 , де і познайомився з користувачем месенджеру Telegram з ніком ІНФОРМАЦІЯ_2 , який пропонує до продажу шкідливе програмне забезпечення, призначене для несанкціонованого втручання в роботу банківських автоматів самообслуговування та заволодіння грошовими коштами з банкомату, так званий «Cutletmaker». В ході зв`язку з останнім встановлено, що грошові кошти за продаж шкідливого програмного забезпечення необхідно надсилати на електронний гаманець WebMoney - НОМЕР_1 , який закріплений за НОМЕР_2 зареєстрований на ОСОБА_6 , ІНФОРМАЦІЯ_3 , ІНН НОМЕР_3 , паспорт НОМЕР_4 , виданий 20.09.2011р. Бердянським РВ ГУМВС України в Запорізькій області, зареєстрованого за адресою: АДРЕСА_3 , фактично мешкає за адресою: АДРЕСА_4 , користується номерами мобільних телефонів: НОМЕР_5 , НОМЕР_6 . Крім того встановлено, що останній користується соціальною мережею «Вконтакте» та його сторінка знаходиться за гіперпосиланням « ІНФОРМАЦІЯ_4 ». Встановлено, що останній користується зовнішньою ІР адресою НОМЕР_7 ( ІНФОРМАЦІЯ_5 о 18:47:41).

Разом з тим допомогу у криптуванні файлів ОСОБА_6 надає користувач різних хакерських форумів з ніками «sattatrapy», «satrap», яка маючи спеціальні знання, надає в мережі оплачувані послуги з криптування шкідливого програмного забезпечення, роздає дані зі стіллера, продає дані аккаунтів громадян, тощо. Оголошення про надання платних послуг по криптуванню ШПЗ розміщено за гіперпосиланням: « ІНФОРМАЦІЯ_6 ». Оголошення про скоєння інших кіберзлочинів: « ІНФОРМАЦІЯ_7 », « ІНФОРМАЦІЯ_8 ». Внаслідок вжитих аналітично-пошукових заходів встановлено, що особою під ніками «sattatrapy», « ОСОБА_7 » є ОСОБА_8 , ІНФОРМАЦІЯ_9 , зареєстрований за адресою: АДРЕСА_5 . Встановлено, що ОСОБА_8 , періодично мешкає у своєї сестри ОСОБА_9 за адресою: АДРЕСА_6 (м.т. НОМЕР_8 ).

Із вказаними особами також контактує ОСОБА_10 ,

ІНФОРМАЦІЯ_10 , зареєстрований та проживає за адресою:

АДРЕСА_7 . В мережі Інтернет використовує обліковий запис «baksentiy» «PsyBAks». Спеціалізується на створенні хакерських веб-ресурсів, займається рекламою шкідливого програмного забезпечення «Cutletmaker». Зареєстрований на веб-форумах за гіперпосиланням « ІНФОРМАЦІЯ_11 », « ІНФОРМАЦІЯ_12 », « ІНФОРМАЦІЯ_13 »,« ІНФОРМАЦІЯ_14 », http://livestreet.ru/profile/psybaks/».

В ході встановлення додаткових відомостей відносно учасників групи, яка скоює кримінальні правопорушення направлені на збут шкідливого програмного забезпечення та несанкціоновані втручання, отримано інформацію щодо громадянина України ОСОБА_11 , ІНФОРМАЦІЯ_15 , який фактично проживає за адресою: АДРЕСА_8 , має облікові записи в соціальних мережах, таких як: «Одноклассники», акаунт: «ІНФОРМАЦІЯ_16 », у соціальній мережі «Вконтакте» за посиланням: ІНФОРМАЦІЯ_17 , який спеціалізується на збуті шкідливого програмного забезпечення призначеного для несанкціонованого втручання в роботу електронно-обчислювальних машин з подальшою крадіжкою персональних даних та інформації відносно даних жертви, зареєстрований на різних тематичних форумах, зокрема за посиланнями: «ІНФОРМАЦІЯ_18 » та «ІНФОРМАЦІЯ_19 », де цікавиться та обговорює з різними користувачами тематику підбору паролів до акаунтів користувачів, а також написання за допомогою різних мов програмування програмних засобів, призначених для блокування інформації користувачів у вигляді так званого «криптування» та програм, призначених для розшифрування «закриптованих відомостей». У вказаній групі виконує роль криптувальника, що дозволяє шкідливому програмному засобу типу «Cutletmaker» не бути виявленим антивірусним програмним забезпеченням.

Шкідливе програмне забезпечення «Cutletmaker» складається з трьох виконуючих файлів, а саме: програма для сканування касет банкомату, програма видачі грошових коштів та програма генерації кодів для роботи програми. Перші два файли (cm17F.exe, Stimulator22.exe) ОСОБА_6 пересилає до оплати, а програму генерації кодів - після оплати.

За результатами вивчення двох вказаних файлів (cm17F.exe, Stimulator22.exe) встановлено, що досліджувані файли зашифровані утилітою «VMProtect». В ході аналізу виявлено, що файл з назвою «Stimulator22.exe» є генератором коду доступу. Файл «cm17F.exe» містить логіку і команди для роботи з касовим модулем банкоматів Wincor Nixdorf:

1.CSCRET CSCAPI CscCngOpen(PCSCDHLPARA pCscDhlPara) - The function CscCngOpen will open a session with the CNG device

2.CSCRET CSCAPI CscCngClose(PCSCDHLPARA pCscDhlPara) - The function CscCngClose terminates the access to the CNG (Функція CscCngClose припиняє доступ до коду зв`язку, навігації та спостереження за банкоматом).

3.CSCRET CSCAPI CscCngReset(PCSCDHLPARA pCscDhlPara) - The command RESET will test if the device is ready to process hardware operations (Команда RESET перевіряє, чи пристрій готовий обробляти операції з апаратними засобами).

4.CSCRET CSCAPI CscCngDispense(PCSCDHLPARA pCscDhlPara) - This function will dispense the specified number of banknotes out of the specifiedcassettes and transport them into the collection tray (Ця функція виділить зазначену кількість банкнот з вказаних касет та транспортує їх у лоток для збору).

5.CSCRET ОСОБА_12 ( ОСОБА_13 ) - This function will transport banknotes and / or wait for the user to take the banknotes (Ця функція переносить банкноти з лотку для збору до пристрою видачі купюр та/або надає команду чекати, поки користувач бере банкноти).

Враховуючи зазначене, встановлено, що логіка роботи програми «cm17F.exe» призначена для несанкціонованої видачі готівки з банкомату, а тому воно може вважатися шкідливим програмним забезпеченням.

Відповідно до інформаційної довідки з Державного реєстру речових прав на нерухоме майно та Реєстру прав власності на нерухоме майно, Державного реєстру Іпотек, Єдиного реєстру заборон відчуження об`єктів нерухомого майна щодо об`єкта нерухомого майна, а саме квартири розташованої за адресою: АДРЕСА_8 , належить на праві приватної власності ОСОБА_14 . За вказаною адресою також проживає ОСОБА_11 , ІНФОРМАЦІЯ_15 .

У зв`язку із викладеним, з метою встановлення осіб, причетних до скоєння злочину, а також враховуючи відсутність можливості отримати необхідні відомості в інший спосіб, та враховуючи, що в матеріалах кримінального провадження достатньо підстав вважати, що інформація має суттєве значення для встановлення важливих обставин в кримінальному провадженні проведено обшук за адресою: АДРЕСА_8 , в ході якого вилучено два ноутбуки, мобільний телефон, чотири флеш-носія, 2 накопичувачі на жорсткому магнітному диску, WI-FI роутер Asus.
У зв`язку з чим, для забезпечення повного, всебічного та неупередженого досудового розслідування вище зазначеного кримінального провадження, в частині дати, часу та місця вчиненого кримінального правопорушення, способу його вчинення та знаряддя вчиненого кримінального правопорушення, для чого необхідно застосувати спеціальні знання у сфері комп`ютерних та інформаційних технологій.
В судове засідання слідчий не з`явився, до суду скерував заяву про розгляд клопотання у його відсутність, клопотання підтримує в повному обсязі.

Відповідно до ч.3 ст. 244 КПК України, неприбуття в судове засідання особи, яка подала клопотання не перешкоджає розгляду клопотання.

Слідчий суддя, дослідивши матеріали клопотання, приходить до наступного.

Відповідно до ч.1 ст. 242 КПК України експертиза проводиться експертною установою, експертом або експертами, за дорученням слідчого судді чи суду, наданим за клопотанням сторони кримінального провадження або, якщо для з`ясування обставин, що мають значення для справи, необхідні спеціальні знання. Не допускається проведення експертизи для з`ясування питань права.
Нормами статті 243 КПК передбачено, що експерт залучається за наявності підстав для проведення експертизи за дорученням слідчого судді чи суду, наданим за клопотанням сторони кримінального провадження.
Згідно ч.1, 6 ст. 244 КПК України у разі якщо для з`ясування обставин, що мають значення для кримінального провадження, необхідні спеціальні знання, сторони кримінального провадження мають право звернутися з клопотанням про проведення експертизи до слідчого судді.
Слідчий суддя задовольняє клопотання, якщо особа, яка звернулася з відповідним клопотанням, доведе, що для вирішення питань, що мають істотне значення для кримінального провадження, необхідне залучення експерта. Слідчий суддя самостійно визначає експерта, якого необхідно залучити, або експертну установу, якій необхідно доручити проведення експертизи.
До ухвали слідчого судді про доручення проведення експертизи включаються запитання, поставлені експертові особою, яка звернулася з відповідним клопотанням.
Приймаючи до уваги вищевикладене, враховуючи те, що для з`ясування обставин, що мають значення для кримінального провадження, необхідні спеціальні знання, вважаю за необхідне клопотання слідчого про призначення судової комп`ютерно-технічної експертизи задовольнити. Проведення вказаної експертизи доручити експертами Чернігівського науково-дослідного експертно-криміналістичного центру МВС України, розташованому за адресою: 14037, м. Чернігів, вул. С. Разіна, 19.

Керуючись ст. ст. 242, 243, 244, 369-372, 376 КПК України, слідчий суддя

У Х В А Л И В:

Клопотання слідчого СВ Черкаського відділу поліції Головного управління Національної поліції в Черкаській області старшого лейтенанта поліції ОСОБА_3 про призначення судової комп`ютерно-технічної експертизи - задовольнити.

Призначити в рамках кримінального провадження № 0000497 від 31.01.2019 за ознаками кримінального правопорушення, передбаченого ч. 2 ст. 361 КК України, судово комп`ютерно-технічну експертизу на вирішення якої поставити наступні питання:

1.Чи наявна на вилучених речах історія відвідування інтернет-сторінок? Якщо так, у разі технічної можливості, прошу вказати перелік та історію відвідування інтернет сторінок, форми автозаповнення у тому числі логінів та паролів.
2.Чи наявна на вилучених речах шкідливі програмні засоби, у тому числі скрипти та інструкції до них? Якщо так, у разі технічної можливості, прошу вказати функціонал ШПЗ.
В розпорядження експертів надати копію ухвали суду, об`єкти дослідження два ноутбуки, мобільний телефон, чотири флеш-носія, 2 накопичувачі на жорсткому магнітному диску, WI-FI роутер Asus.

Проведення експертизи доручити експерту (експертам) Чернігівського науково-дослідного експертно-криміналістичного центру МВС України на проведення судової комп`ютерно-технічної експертизи код 10.9 .
Виконання ухвали доручити слідчому СВ Черкаського відділу поліції Головного управління Національної поліції в Черкаській області старшому лейтенанту поліції ОСОБА_3 або за дорученням слідчого іншому уповноваженому працівнику поліції, надати в експертну установу рішення суду про призначення експертизи та отримати її висновок.

Ухвала оскарженню не підлягає.

Слідчий суддя: ОСОБА_1